Quando una scansione restituisce più rilievi di gravità alta e critica di quanti il suo team possa correggerne questa settimana, serve un ordine di lavoro. Ordinare per punteggio CVSS sembra un criterio oggettivo, ma risponde alla domanda sbagliata. Combinarlo con EPSS, il catalogo KEV e il contesto dei propri asset dà una risposta molto migliore.
Cosa misura CVSS, e cosa no
Il Common Vulnerability Scoring System (CVSS), gestito da FIRST, descrive quanto è grave una vulnerabilità. Il punteggio base riflette le caratteristiche intrinseche della vulnerabilità e presuppone uno scenario peggiore ragionevole in tutti gli ambienti in cui potrebbe trovarsi. La guida utente di CVSS v4.0 di FIRST afferma esplicitamente che i punteggi base misurano la gravità e “non dovrebbero essere usati da soli per valutare il rischio”.
Eppure, di solito, il punteggio base è tutto ciò che si ha a disposizione. La stessa guida osserva che i produttori e la National Vulnerability Database statunitense pubblicano in genere solo punteggi base. Aggiungere informazioni sulle minacce attuali e sul proprio ambiente spetta a chi usa il punteggio.
Un vettore CVSS mostra come è stato costruito il punteggio. Ad esempio:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Si legge così: raggiungibile via rete, bassa complessità, nessun privilegio né interazione dell’utente necessari, impatto alto su riservatezza, integrità e disponibilità. Non dice nulla sul fatto che qualcuno la stia sfruttando, né sul fatto che il sistema interessato nella sua rete sia effettivamente esposto.
CVSS v3.1 e v4.0 a confronto
CVSS v4.0 è stato pubblicato nel novembre 2023. Entrambe le versioni usano le stesse fasce qualitative: bassa da 0,1 a 3,9, media da 4,0 a 6,9, alta da 7,0 a 8,9 e critica da 9,0 a 10,0. Per un po’ di tempo si troveranno entrambe le versioni nei bollettini di sicurezza.
| Aspetto | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Gruppi di metriche | Base, Temporali, Ambientali | Base, Minaccia, Ambientali, Supplementari |
| Informazioni sugli exploit | Gruppo Temporali con tre metriche | Gruppo Minaccia con la sola maturità dell’exploit (Exploit Maturity) |
| Impatto più ampio | Metrica Ambito (Scope) | Impatti separati sul sistema vulnerabile e sui sistemi successivi |
| Condizioni di attacco | Complessità dell’attacco (Attack Complexity) | Complessità dell’attacco più una nuova metrica, requisiti dell’attacco (Attack Requirements) |
| Interazione dell’utente | Nessuna o Richiesta | Nessuna, Passiva o Attiva |
| Etichettatura | Un solo punteggio | CVSS-B, CVSS-BT, CVSS-BE o CVSS-BTE, a seconda dei gruppi utilizzati |
Le etichette della v4.0 sono utili. Un punteggio contrassegnato come CVSS-B è solo un punteggio base, quindi si sa che minaccia e ambiente non sono stati considerati. Le metriche supplementari, come la possibilità di automatizzare lo sfruttamento, aggiungono contesto senza modificare il punteggio.
EPSS: quanto è probabile lo sfruttamento?
L’Exploit Prediction Scoring System (EPSS), anch’esso gestito da FIRST, stima la probabilità che una CVE pubblicata venga sfruttata in attacchi reali nei 30 giorni successivi. I punteggi vanno da 0 a 1 e vengono pubblicati ogni giorno per ogni CVE, gratuitamente, come file CSV scaricabile e tramite un’API.
La guida utente di FIRST suggerisce di combinare EPSS e CVSS in un semplice quadrante:
| CVSS basso | CVSS alto | |
|---|---|---|
| EPSS alto | Sfruttamento probabile, impatto limitato di per sé; verificare se può essere concatenata ad altre vulnerabilità | Correggere per prima |
| EPSS basso | In genere le si può dare una priorità più bassa | Grave ma meno probabile che venga sfruttata; monitorare eventuali cambiamenti |
La guida è altrettanto chiara sui limiti. EPSS copre solo il lato minaccia del rischio, quindi “non dovrebbe mai essere trattato come un punteggio di rischio”. Non sa quali sistemi lei gestisce, quanto sono esposti o quali dati contengono. E un punteggio basso non significa mai zero.
KEV: è già sfruttata?
Il catalogo Known Exploited Vulnerabilities (KEV) della CISA elenca le vulnerabilità per le quali esistono prove affidabili di sfruttamento in attacchi reali. Una vulnerabilità viene aggiunta solo quando sono soddisfatte tre condizioni:
- ha un identificativo CVE
- esistono prove affidabili di sfruttamento attivo; scansioni, ricerche e codice proof-of-concept da soli non bastano
- esistono indicazioni chiare per la correzione, come un aggiornamento del produttore
La Binding Operational Directive 22-01 impone alle agenzie federali civili statunitensi di correggere le voci KEV entro scadenze stabilite. Le altre organizzazioni non sono vincolate, ma la CISA raccomanda vivamente a tutti di trattare le voci KEV come una priorità nella gestione delle vulnerabilità.
Le organizzazioni europee hanno una seconda fonte. La European Vulnerability Database (EUVD) dell’ENISA, operativa da maggio 2025 ai sensi della direttiva NIS2, include una dashboard delle vulnerabilità sfruttate. Vi confluiscono automaticamente i dati CVE, i bollettini dei produttori e il catalogo KEV.
Un approccio semplice alla prioritizzazione
Usi KEV ed EPSS per decidere quanto è urgente un intervento, e la conoscenza dei suoi asset per decidere dove conta. I livelli qui sotto sono un punto di partenza che suggeriamo, non uno standard. Adatti i tempi alla sua capacità e alla sua propensione al rischio.
| Livello | Condizione | Obiettivo suggerito |
|---|---|---|
| 1 | In KEV o segnalata come sfruttata nell’EUVD, su un sistema esposto a internet o critico per il business | Giorni, con misure di mitigazione se non è ancora disponibile una patch |
| 2 | In KEV su sistemi interni, oppure EPSS alto su un sistema esposto | Prossimo ciclo di patch, entro circa due settimane |
| 3 | CVSS alto o critico con EPSS basso, non esposta | Normale ciclo mensile; ricontrollare regolarmente EPSS e KEV |
| 4 | Tutto il resto | Manutenzione ordinaria, oppure accettare il rischio e documentarne il motivo |
È il contesto degli asset a trasformare un punteggio in una decisione. Per ogni sistema si ponga tre domande: è raggiungibile da internet, quali dati o accessi contiene, e quanto costerebbe un’interruzione? In termini CVSS, queste sono le sue metriche ambientali.
Un esempio illustrativo
Immagini due rilievi nello stesso giorno. Il primo ha un punteggio di 9,8 su un server di test interno senza dati sensibili, con un EPSS basso e nessuna voce KEV. Il secondo è un’escalation locale dei privilegi con punteggio 7,8, presente nel catalogo KEV, su tutti i laptop dei dipendenti.
L’ordinamento per punteggio mette il primo in cima. L’approccio descritto sopra mette al primo posto il secondo. È sfruttato attivamente e si trova su ogni laptop, dove una sola email di phishing andata a segno può dare a un attaccante il punto d’appoggio di cui ha bisogno. Anche il server di test viene corretto, nel ciclo normale.
Da dove iniziare
- Si assicuri che lo scanner o l’inventario degli asset registri l’identificativo CVE di ogni rilievo.
- Importi ogni giorno i punteggi EPSS e l’elenco KEV, oppure usi uno strumento che lo fa già.
- Classifichi gli asset per esposizione e importanza per il business, anche solo come “esposto a internet” e “critico”.
- Concordi con la direzione tempi obiettivo per ogni livello e ne monitori il rispetto.
- Quando un bollettino fornisce solo un vettore, lo legga con il nostro calcolatore CVSS e lo adatti al suo ambiente.
Se preferisce un processo continuo, il nostro servizio di sicurezza gestita può occuparsi per lei del monitoraggio e della prioritizzazione delle vulnerabilità.
